Aggiungere Microsoft Azure Sync alla tua directory

Puoi aggiungere Azure Sync a qualsiasi directory in Adobe Admin Console per automatizzare il processo di gestione degli utenti. Azure Sync usa il protocollo SCIM per la gestione degli utenti e ti offre il controllo sull'utente e sul gruppo inviati ad Adobe. Gli utenti di Azure AD sincronizzati con Adobe Admin Console sono univoci e possono essere assegnati a uno o più profili di prodotto.

Dopo aver configurato Azure Sync, Azure AD inizia a inviare dati ad Adobe Admin Console in base al provisioning di utenti e gruppi della directory di Azure AD. Tutti i dettagli associati alla directory vengono visualizzati nella sezione Impostazioni di Adobe Admin Console.

Vantaggi di Azure Sync

I principali vantaggi offerti dal passaggio all’integrazione di Azure AD con la directory in Adobe Admin Console sono:

Prerequisiti

Per integrare la gestione degli utenti di Adobe Admin Console con Azure AD, è necessario:

• Account Microsoft Azure AD con dati di utenti e gruppi
  
• I prodotti Adobe che appartengono a uno dei seguenti prodotti: Creative Cloud for enterprise, Document Cloud for enterprise o Experience Cloud 
• Una directory federata in Adobe Admin Console con domini verificati

Scenari di integrazione supportati

La configurazione della directory può variare e Azure Sync supporta scenari diversi, che richiedono passaggi aggiuntivi. Utilizza la tabella per seguire i passaggi in base alla configurazione della directory:

Note preliminari per la configurazione della sincronizzazione

Completa i seguenti passaggi per visualizzare le procedure consigliate e Adobe Recommendations prima di configurare Azure Sync:

• Esporta l'elenco degli utenti esistenti prima di aggiungere Azure Sync per mantenere un record di tutti gli account utente e delle licenze fornite durante la configurazione.
• Se hai configurato Azure AD SSO con Open ID Connect (OIDC), devi aggiungere una nuova applicazione Adobe Identity Management nel portale Microsoft Azure per configurare la sincronizzazione delle directory.
• Se hai configurato Azure AD SSO con SAML, usa l'applicazione Adobe Identity Management esistente per configurare la sincronizzazione delle directory. Segui i passaggi riportati nel documento Microsoft per configurare il provisioning automatico degli utenti con l'applicazione Adobe Identity Management.
• Azure Sync separa la posta elettronica dal nome utente, consentendo agli utenti di utilizzare un diverso valore di e-mail e nome utente per convalidare l'accesso e accedere a prodotti e servizi Adobe, collaborare ai progetti, condividere file, ecc.​ Segui i passaggi riportati nel documento Microsoft per personalizzare l'associazione degli attributi di provisioning degli utenti.
• Prima di eseguire la sincronizzazione iniziale, se stai integrando Azure Sync in una directory con utenti Federated ID, verifica che il formato del campo del nome utente corrisponda al nome principale dell'utente (UPN) in Azure AD.
  Se questi valori non corrispondono, Admin Console rileva un nuovo account utente e crea record duplicati per un singolo utente. Puoi aggiornare l'associazione degli attributi per assicurarti che i valori inviati dalla sincronizzazione corrispondano ai valori nei profili utente in Admin Console, che aggiornerà automaticamente gli account alla prossima sincronizzazione.
• Azure Sync può essere configurato solo in una versione di Admin Console con almeno una directory federata e un dominio configurato. Se Admin Console con Azure Sync (console proprietaria) ha una relazione affidabile con altre versione di Admin Console (console affidabili), i trustee devono utilizzare un'altra forma di gestione degli utenti, come lo Strumento di sincronizzazione utenti, l'API di gestione utenti o il caricamento CSV in blocco per creare, gestire e concedere in licenza gli utenti Federated ID.
  Per aggiungere utenti a una console trustee per il provisioning delle licenze, è necessario prima aggiungere l'utente alla console proprietaria.
• Se la tua organizzazione utilizza lo Strumento di sincronizzazione utenti o un'integrazione UMAPI, è necessario prima sospendere l'integrazione. Quindi, sarà possibile aggiungere Azure Sync per automatizzare la gestione degli utenti da Azure AD. Lo Strumento di sincronizzazione utenti o l'integrazione UMAPI può essere rimosso completamente una volta che Azure Sync è stato configurato ed è in esecuzione.
• L'organizzazione deve disporre di un abbonamento Premium (P1 o P2) o Microsoft 365 (E3 o A3) con Azure AD per usare le funzionalità di assegnazione basata su gruppo. Ti consente di scegliere gruppi e utenti specifici da sincronizzare con Adobe Admin Console.Le
  organizzazioni senza questi livelli di abbonamento possono sincronizzare tutti gli utenti e i gruppi con Adobe Admin Console solo contemporaneamente. Il sistema sincronizzerà automaticamente tutti gli utenti e i gruppi e genererà un Adobe Federated ID per gli utenti sincronizzati. Ulteriori informazioni sui piani di abbonamento di Azure AD e opzioni per l'aggiornamento.
• Per spostare un dominio da o verso una directory stabilita con Azure Sync è necessario prima abilitare temporaneamente la modifica per la directory. Una volta abilitata la modifica, sposta il dominio desiderato da o verso la directory sincronizzata con Azure AD, prima di disabilitare le funzionalità di modifica della directory.
• La sincronizzazione di Azure non sincronizza gli utenti dai gruppi nascosti con l'attributo HiddenMembership in Azure AD. Per sincronizzare utenti specifici, crea un gruppo su Azure AD e copia i rispettivi utenti nel nuovo gruppo.

Aggiungere Azure Sync a una directory federata

Puoi aggiungere Azure Sync a una directory federata di Adobe Admin Console con i domini richiesti collegati. Per aggiungere la sincronizzazione a una directory federata stabilita, effettua le operazioni riportate di seguito:

Modifica delle impostazioni di sincronizzazione

Un amministratore di sistema può aggiornare le impostazioni per Origine sincronizzazione una volta completata la configurazione scegliendo Seleziona impostazioni dalla scheda Impostazioni della directory > Sincronizzazione. Le opzioni di configurazione includono:

Rimuovere la sincronizzazione

Gli amministratori possono scegliere di rimuovere la sincronizzazione da una directory federata all'interno di Admin Console. La rimozione della sincronizzazione lascia intatti la directory e i domini, i gruppi di utenti e gli utenti associati, ma rimuove la modalità di sola lettura dalla directory e dagli utenti e i gruppi associati.

Per rimuovere la sincronizzazione da una directory, scegli Seleziona impostazioni dalla scheda Impostazioni directory> Sincronizzazione  e quindi seleziona Rimuovi sincronizzazione. Questa operazione rimuoverà definitivamente la configurazione della sincronizzazione da Admin Console. Se necessario, puoi ripristinare la sincronizzazione con la stessa directory o con una differente.

Disabilitare utenti e gruppi

L'implementazione di Azure Sync crea nuovi account utente federati e sincronizza gli utenti con Adobe Admin Console. Gli amministratori possono anche eseguire il deprovisioning di utenti e gruppi aggiunti tramite Azure Sync, utilizzando i tre metodi seguenti (nel portale di Microsoft Azure):

• Rimuovere l'utente da tutti i gruppi sincronizzati in Azure AD

• Eliminare temporaneamente l'utente da Azure AD

• Rimuovere tutti i gruppi di cui fa parte l'utente dall'ambito del provisioning in Azure AD

Queste tre operazioni disabilitano gli utenti in Adobe Admin Console. Un utente disabilitato non è più in grado di accedere e viene visualizzato come Disabilitato nell'elenco Utenti della directory . Un utente di cui è stato eseguito il deprovisioning con uno di questi metodi è ancora gestito da Azure Sync. Né l'account dell'utente né le risorse archiviate nel cloud vengono rimosse dall'organizzazione. 

Rimuovere un utente e i dati associati da Admin Console: scegli Seleziona Impostazioni dalla scheda Impostazioni della directory > Sincronizza e fai clic su Attiva modifica. Quindi seleziona Utenti > Utenti della directory e scegli l'utente dall'elenco per eliminare definitivamente l'account.

Una volta abilitata la modifica è possibile modificare i dati sincronizzati per un'ora, prima che venga disabilitata automaticamente. Si consiglia di fare clic su Disattiva modifica immediatamente dopo la rimozione dell'utente per garantire che le modifiche di Azure AD vengano applicate anche in Adobe Admin Console.

Policy di quarantena

Adobe e Microsoft dispongono di una policy di quarantena per gestire numerose chiamate di errore durante le operazioni di sincronizzazione. 

Il servizio di provisioning di Azure AD monitora l'integrità della configurazione e inserisce le app non integre in un file con stato "quarantena". Se la maggior parte o tutte le chiamate effettuate sul sistema di destinazione non riescono frequentemente a causa di un errore, ad esempio per credenziali di amministratore non valide, il processo di provisioning viene contrassegnato come in quarantena. Durante la quarantena, la frequenza dei cicli incrementali viene gradualmente ridotta a una volta al giorno. Il processo di provisioning viene rimosso dalla quarantena quando tutti gli errori sono stati corretti e viene avviato il ciclo di sincronizzazione successivo. Se resta in quarantena per più di quattro settimane, il processo di provisioning viene disabilitato (non viene più eseguito). Ulteriori informazioni sul provisioning delle applicazioni in stato di quarantena in Azure AD.

Il servizio di Adobe monitora in modo indipendente l'integrità della sincronizzazione per verificare quando il tasso di errore supera una determinata soglia in un determinato periodo di tempo. Un numero minimo di richieste che generano un errore che soddisfa la soglia attiverà la quarantena temporanea, con il risultato di rifiutare tutte le chiamate e le richieste di aggiornamento da Azure AD per un determinato periodo di tempo. Successivamente, le chiamate verranno nuovamente accettate per il nuovo tentativo di sincronizzazione. Se le chiamate di errore persistono, la sincronizzazione verrà posta in prova temporanea per un periodo di tempo prolungato in quarantena. Se la quarantena viene avviata da Adobe, potrebbe anche portare a una quarantena successiva con Azure a causa delle chiamate rifiutate, che conterà ai fini dei tassi di errore in Azure. Nota: Adobe si riserva il diritto di aggiornare i parametri di quarantena in base all'analisi dei dati in corso. 

Messaggi di errore comuni

Viene visualizzato un gruppo di messaggi di errore comuni da tenere presente durante la gestione di Azure Sync da Azure AD. Comprendere la causa dei vari messaggi di errore semplificherà la risoluzione dei problemi quando si verificano.

Ulteriori informazioni sul monitoraggio della distribuzione in Azure AD.

Risoluzione del problema di sincronizzazione

Poiché Adobe Admin Console usa il servizio di sincronizzazione Microsoft Azure, tutti i problemi di sincronizzazione vengono risolti all'interno di Azure AD. È possibile fare riferimento alle Istruzioni di configurazione di Microsoft per risolvere alcuni problemi comuni. Se non riesci a trovare una soluzione, ti consigliamo di contattare il supporto tecnico di Microsoft per ulteriore assistenza.

Segui le istruzioni di seguito per diagnosticare un problema di sincronizzazione:

Gestione degli account utente esistenti

Sono necessari passaggi aggiuntivi per convertire tutti gli utenti esistenti non Federated ID nel tipo Federated ID.

Gli utenti che dispongono di un account diverso da Federated ID in Admin Console possono essere migrati a un account Federated ID una volta stabilito il connettore di Azure Sync. Una volta convertito, Azure AD invia correttamente questi account ad Adobe Admin Console.

Per garantire che tutte le risorse archiviate nel cloud siano migrate al nuovo tipo di identità dell’utente, effettua le operazioni riportate di seguito:

Passaggi successivi

Dopo aver aggiunto Azure Sync alla directory, tutti gli utenti e i gruppi di utenti vengono importati in Adobe Admin Console e aggiornati a intervalli regolari. Successivamente, dovrai consentire a questi utenti di accedere alle loro app Adobe designate:

1. Crea e gestisci profili di prodotto: crea profili di prodotto appropriati e associali agli utenti e ai gruppi di utenti per stabilire chi può utilizzare le app e i servizi Adobe. Scopri come gestire i prodotti e i profili di prodotto.
2. Gli utenti ricevono una notifica tramite e-mail quando sono assegnati ai prodotti designati. Gli utenti possono scaricare e installare direttamente l'app desktop Creative Cloud.
   Se gli utenti non dispongono delle autorizzazioni di amministratore, dovrai creare e distribuire i pacchetti appropriati.
3. Crea e distribuisci i pacchetti: per fornire accesso alle app agli utenti, crea e distribuisci i pacchetti di app nei loro computer. Per iniziare a utilizzare le app e i servizi, gli utenti devono accedere utilizzando le credenziali SSO. Per ulteriori informazioni, consulta Creazione di pacchetti con licenze nominative.

Agli amministratori di un istituto, dopo aver configurato la sincronizzazione di Azure, consigliamo di abilitare la sincronizzazione dei ruoli. Ulteriori informazioni su Sincronizzazione dei ruoli per il settore dell'istruzione.